Toute commune est responsable de traitement, quelle que soit sa taille. Le maire signe les contrats de sous-traitance, répond à la CNIL et notifie les violations de données.

Le registre des traitements (article 30 du RGPD). C'est le premier document que la CNIL demande lors d'un contrôle. Pour chaque traitement, il consigne la finalité, la base légale, les personnes et les données concernées, les destinataires, la durée de conservation et les mesures de sécurité. La CNIL publie un modèle adapté aux collectivités.

Le DPO est obligatoire pour toute autorité publique, sans seuil de taille (article 37.1.a). Trois options existent : un agent interne, un DPO mutualisé par le centre de gestion ou l'intercommunalité (de 800 à 2 500 € par an selon la population, à titre indicatif), ou un prestataire privé. Pour une commune de moins de 10 000 habitants, la mutualisation est en général la voie la plus simple.

Chaque prestataire qui traite des données signe un accord de sous-traitance (article 28), distinct du contrat commercial : éditeur du site, hébergeur, outil d'envoi de courriels. Tenez un tableau des sous-traitants et des accords signés, joint au registre.

Cinq traitements concentrent les risques : état civil, listes électorales, vidéoprotection, gestion du personnel, contacts citoyens et lettre d'information.

Le guide complet détaille chaque point, la procédure en cas de violation de données en cinq étapes et les questions fréquentes : https://mairie.app/ressources/rgpd-mairie-guide-pratique

Information générale, à jour en septembre 2026. Elle ne remplace pas l'avis de votre DPO ou d'un juriste. Ressource rédigée par l'équipe de Mairie.app.